VPN shlyuzi orqali EAP: usulni kim tugatadi

Qoʻllab-quvvatlash chiptalari muvaffaqiyatsiz VPN kirishni va kuchliroq usulni talab qiluvchi RADIUS siyosatini bir xil muammo sifatida tasvirlaydi, lekin unday emas. Shlyuz yo hisob maʼlumotlarini qabul qilib uzatadi, yo mijoz va autentifikatsiya serveri oʻrtasida EAP suhbatini olib boradi. Qaysi biri sodir boʻlishi server tomonidagi oʻzgarish biror narsani tuzata olishini aniqlaydi. Server guruhini tahrirlashdan oldin almashinuvni oʻqing.

Jurnalda bir xil koʻrinadigan ikki autentifikatsiya yoʻli

Birinchi yoʻlda VPN shlyuzi foydalanuvchi nomi va parolni toʻplaydi va parol atributi bilan RADIUS Access-Request yuboradi. Autentifikatsiya serveri uni oʻz ombori bilan solishtiradi va qabul yoki rad javobini beradi. Mijoz hech qachon EAP usulini ishga tushirmaydi, chunki hech kim buni talab qilmagan.

Ikkinchi yoʻlda mijoz va autentifikatsiya serveri EAP usulini boshdan oxirigacha bajaradi, shlyuz esa ular oʻrtasida EAP-Message atributlarini uzatadi. Shlyuz tashqi RADIUS suhbatini baribir tugatadi, lekin usul mantiqi ikki uchida yashaydi.

Ikkala yoʻl ham jurnalda autentifikatsiya muvaffaqiyatsiz boʻlgani haqida satr hosil qiladi. Faqat ikkinchisiga server afzal koʻradigan EAP usuli taʼsir qilishi mumkin, faqat birinchisiga esa shlyuz parolni qanday oʻqishi. Ularni almashtiriladigan deb hisoblash — jamoalar PEAP gapirmaydigan mijoz uchun kun boʻyi server guruhlarini oʻzgartirishiga sabab.

Usul aslida qayerda ishlaydi

RFC 3579 oʻtkazish tartibini belgilaydi: NAS EAP paketlarini RADIUS atributlarida olib yuradi va har bir EAP turi uchun usulga xos kod talab qilinmaydi. Shuning uchun shlyuz PEAP va EAP-TLS'ni hech birini amalga oshirmasdan qoʻllab-quvvatlashi mumkin.

Parol yuboradigan shlyuz PEAP olib yurmaydi, hatto orqa tizim boshqa mijozdan PEAP qabul qilsa ham. Server siyosatida PEAP'ni yoqish hech qachon taklif qilmagan mijozga usul qoʻshmaydi.

PPP autentifikatsiya sozlamalari PPP xizmatiga tegishli. Ular bir xil AAA serveridan foydalanadigan har bir IPsec yoki eski XAuth yoʻlini jimgina qayta sozlamaydi, shuning uchun bir kirish turi uchun ishlaydigan oʻzgarish ikkinchisini tegilmagan qoldirishi mumkin.

NAS nimani qoʻllab-quvvatlashi kerak

Oʻtkazish talabni usul kodidan tashuvchi qoʻllab-quvvatlashiga koʻchiradi. Shlyuz EAP'ni oʻz VPN protokoli orqali olib yura olishi, ustidagi RADIUS mijozi esa tegishli oʻlchamdagi EAP-Message atributlarini yuborib, qabul qila olishi kerak.

IKEv2 uchun EAP belgilangan autentifikatsiya oqimining qismi, serverning shaxsi va ishonch tekshiruvlari shu oqimdan keladi. 802.1X joriy etishdan olingan PEAP yorligʻi avtomatik oʻtmaydi, chunki uning atrofidagi muzokaralar boshqacha.

Mijoz tomonida ham talablar bor. U usul uchun sozlangan boʻlishi, usul taqdim etgan server sertifikatiga ishonishi va usul ishlata oladigan hisob maʼlumotlariga ega boʻlishi kerak. Mijoz sertifikatisiz sertifikatga asoslangan usul RADIUS biror narsani koʻrishidan oldin muvaffaqiyatsiz boʻladi va bu server siyosati emas, taʼminot muammosi.

Siyosatni oʻzgartirishdan oldin bir urinishni oʻqing

Shlyuzda va autentifikatsiya serverida bitta tasdiqlangan urinishni yozib oling. RADIUS soʻrovida EAP-Message atributlarini qidiring. Ularning borligi oʻtkazish yoʻli ishlatilayotganini bildiradi; yoʻqligi hisob maʼlumotlari almashinuviga ishora qiladi.

Linux shlyuzida RADIUS portidagi yozib olish simda qaysi atributlar borligini koʻrsatadi:

sudo tcpdump -ni any -X 'udp port 1812' -c 20

Soʻng rad etish nuqtasini solishtiring. Har qanday RADIUS paketidan oldin shlyuzda nosozlik mijoz va shlyuz usulda kelishmaganini bildiradi. EAP atributlari boʻlgan RADIUS rad javobi uchlar usulni bajarganini va ulardan biri natijani rad etganini bildiradi.

Koʻchirishni boshdan oxirigacha bitta oʻzgarish sifatida rejalashtiring

Usulni oʻzgartirish mijoz sozlamalarini, shlyuzning tashuvchi qoʻllab-quvvatlashini, serverning usul siyosatini va hisob maʼlumotlari omborini birga oʻzgartirishni bildiradi. Buni shu tartibda qiling va yangisi isbotlanmaguncha ishlaydigan yoʻlni saqlang. Faqat server tomonidagi oʻzgarish taxmin boʻlib, odatda ishlab turgan mijozlarni buzadi. Guruhga tegishdan oldin oʻzgarishni bitta sinov shaxsida tayyorlang.

Ishlaydigan birikmani yozib qoʻying: VPN protokoli, EAP tashuvchisi, hamkor usuli, server usuli, hisob maʼlumoti turi va server shaxsini tekshirish.

Maʼmuriy AAA kirishini VPN autentifikatsiyasidan alohida saqlang, agar vazifa ikkalasini ham aniq qamrab olmasa. Masofaviy kirish uchun moʻljallangan oʻzgarish uni tugatadigan qurilmani boshqarish qobiliyatingizni olib qoʻymasligi kerak.